Google desmantela botnet XCPE: 1,3 milhão de dispositivos Android TV comprometidos por fabricante chinesa

O Google anunciou nesta segunda-feira (3/11) o desmantelamento da botnet XCPE, uma infraestrutura maliciosa que operava em mais de 1,3 milhão de dispositivos Android TV — predominantemente set-top boxes fabricados pela chinesa Videostrong Technology Co. O caso é emblemático por revelar um modelo de negócio raro na cibercriminalidade: em vez de explorar vulnerabilidades de terceiros, a própria fabricante instalou uma porta dos fundos no firmware durante a produção e a operou como serviço para cibercriminosos.

Um ataque fabricado na fonte

Diferentemente da maioria das botnets que infectam dispositivos através de falhas de software ou engenharia social com usuários, a XCPE nasceu já infectada. Segundo o relatório do Google Threat Intelligence Group (GTIG), a Videostrong desenvolveu intencionalmente um backdoor persistente que residia na partição `/oem/` do firmware, uma área de armazenamento reservada para o sistema operacional do dispositivo e acessível mesmo após a reinstalação do sistema pelo usuário.

A arquitetura do malware era modular e em três camadas: o backdoor primário responsável pela comunicação com os servidores de comando e controle (C2), um mecanismo de carregamento que executava módulos adicionais, e um sistema de monetização que permitia que terceiros — as "filiais criminosas" — monetizassem os dispositivos infectados.

A Videostrong não apenas instalou o backdoor, mas também vendeu acesso ao sistema de controle para operadores externos. Essa dinâmica de "infraestrutura como serviço" transforma a própria cadeia de fabricação em um vetor de ataque, um padrão que especialistas chamam de "badbox" — dispositivos vendidos legalmente que entregam, simultaneamente, funcionalidade legítima e capacidade de controle remoto.

Como a XCPE operava

Os dispositivos infectados com XCPE não se comportavam de maneira visivelmente diferente dos normais. O malware usava um broker MQTT (protocolo leve de comunicação máquina-a-máquina) hospedado em subdomínios de `anyevonline[.]com`, com comunicação secundária via `mqtt.szbboys[.]com`. Essa escolha foi estratégica: o MQTT é amplamente utilizado em dispositivos IoT legítimos, tornando o tráfego de controle remoto indistinguível de comunicações normais de dispositivos conectados.

Uma vez controlados, os dispositivos podiam:

- Baixar e instalar silenciosamente novos aplicativos Android; - Desativar o Google Play Protect; - Executar comandos do shell com privilégios de sistema; - Capturar telas e injetar digitação; - Coletar informações de contas, detalhes do dispositivo e logs do sistema; - Realizar reconhecimento de rede e estabelecer shells reversos; - Atuar como proxies residenciais para tráfico malicioso.

A botnet se espalhou por mais de 170 países, com concentrações significativas na Malásia, Brasil, Iraque, México e Taiwan — mercados onde set-top boxes Android de baixo custo são particularmente populares.

Evolução e evasão

Ao longo de dois anos, a Videostrong evoluiu continuamente a arquitetura do malware para burlar as verificações de segurança do Google. Em vez de tentar enganar os testes de compatibilidade do Android (que os fabricantes devem passar para obter certificação Google), a empresa utilizou técnicas de ofuscação para explorar uma lacuna nos testes: carregava o código malicioso após a primeira inicialização do dispositivo, quando os testes de validação já tinham sido concluídos.

Desde o final de 2024, a Videostrong passou a usar um carregador separado chamado `com.abc.nexus`, que executava os módulos maliciosos enquanto o XCPE focava exclusivamente na comunicação com o C2. A partir de agosto de 2026, os operadores migraram para droppers ainda menores, disfarçados como aplicativos do sistema Android, tornando ainda mais difícil a detecção.

A resposta do Google

A operação de desmantelamento contou com a Agência Nacional de Polícia do Japão, Lumen Technologies, Human Security, Plume, Synthient e TrendAI. As medidas incluíram:

- Ação legal para derrubar os domínios e servidores de comando e controle; - Banimento permanente da Videostrong e de suas subsidiárias da certificação Android; - Modificação do processo de revisão de certificação para detectar atividades similares (sem detalhes públicos, para não auxiliar futuros evasores); - Derrubada dos domínios de C2 utilizados por mais de uma dúzia de outras famílias de malware que usavam o backdoor XCPE como veículo — cortando acesso a pelo menos 10 milhões de dispositivos adicionais de diversos fabricantes.

O Google não removeu o malware dos dispositivos já infectados. Se um usuário tentar removê-lo, ele se reinstala automaticamente a partir da partição `/oem/`. A única solução é instalar firmware limpo ou desconectar o dispositivo da internet.

O mercado resiliente por trás da botnet

A advertência mais importante do relatório do Google não é sobre a Videostrong — é sobre o mercado que sustenta operações como a XCPE. O GTIG alertou que os operadores da botnet identificaram com precisão a natureza sistêmica do negócio por trás dela:

> "Acreditamos que nossas ações impactaram seriamente mais de uma dúzia de atores maliciosos", escreveu o Google. "Mas o mercado subjacente de backdoors, fraude de anúncios e proxies residenciais é resiliente. Operadores de backdoor, anéis de fraude de anúncios e provedores de proxy residencial operam como uma cadeia de suprimentos interconectada — quando um componente é perturbado, os operadores rapidamente migram para novos carregadores ou SDKs de monetização rivais."

Essa é a lição central. A XCPE não foi um ataque isolado de um ator sofisticado; foi um negócio legítimo no sentido de que tinha cadeia de suprimentos, clientes e receita recorrente. A Videostrong vendia acesso a criminosos, assim como empresas legítimas vendem hardware. A diferença é que o produto era a capacidade de controlar remotamente um milhão de dispositivos.

O que acontece quando a regulamentação de segurança de dispositivos IoT se torna tão rigorosa que fabricantes começam a contorná-la não por negligência, mas por decisão deliberada? A XCPE mostra exatamente esse cenário: a fabricabilidade do ataque não é um acidente de segurança, é o próprio modelo. E enquanto o mercado de backdoor como serviço continuar lucrativo — o que o Google confirmou ao apontar 10 milhões de dispositivos adicionais explorados por outras famílias de malware através da mesma infraestrutura —, a XCPE será a primeira de uma longa série de botnets fabricadas na fonte.

Fontes: Google Cloud Blog, BleepingComputer, CyberScoop, SecurityWeek

✓ Fontes independentes cruzadas e verificadas antes da publicação